Gestión de riesgos y modelado de amenazas (threat modeling)

En un panorama de ciberseguridad cada vez más dinámico y desafiante, donde el costo promedio de una violación de datos alcanzó los 9,36 millones de dólares en el año 2024, según un informe de IBM, se vuelve fundamental fortalecer las capacidades preventivas para mejorar la postura de seguridad. En este contexto, surge la necesidad de implementar un proceso sistemático conocido como  Modelado de Amenazas.

El modelado de amenazas permite no solo comprender los riesgos actuales, sino también prever escenarios de ataque, adoptando un enfoque prospectivo que facilita la identificación y mitigación de amenazas tanto conocidas como emergentes. Además, al tener en cuenta el contexto específico de cada organización, incluyendo su superficie de ataque y los activos críticos, aumenta la efectividad de las medidas de defensa, reduciendo la probabilidad de materialización de posibles incidentes de seguridad.

Etapas del threat modeling. Fuente: Threat modeling: claves y técnicas del modelado de amenazas, por S2 Grupo, 2024.

Para poder realizar modelados de amenazas es importante cumplir los siguientes requisitos:

• Definición del alcance y los objetivos

El primer paso del proceso de modelado de amenazas consiste en definir de manera clara el alcance y los objetivos del análisis. Esta etapa es esencial para enfocar los esfuerzos en los componentes críticos del sistema y asegurar que los recursos se utilicen de forma eficiente.

• Identificación de activos

El siguiente paso poder realizar modelado de amenazas es la identificación de activos, ya que uno de los objetivos principales de los actores de amenaza es comprometer o tomar control de los activos críticos de las organizaciones. En este proceso, los analistas de inteligencia de amenazasadoptan la perspectiva de un adversario, con el fin de identificar los recursos que son esenciales para la operación del negocio y que, por tanto, deben ser protegidos frente a posibles ataques. Este enfoque permite priorizar la protección de los activos más valiosos, estableciendo una base sólida para las siguientes etapas del modelado de amenazas.

• Caracterización del sistema

El segundo paso en el modelado de amenazas es la caracterización del sistema, lo cual implica desarrollar una visión general de la arquitectura y el comportamiento del sistema a evaluar. Este proceso permite recopilar la información necesaria para que los analistas de inteligencia de amenazas identifiquen con precisión las áreas que podrían ser vulnerables o representar un mayor riesgo de ataque:

1. Identificar los flujos de datos del sistema.
2. Identificar los límites de confianza, es decir, los derechos de acceso que las aplicaciones otorgan a entidades externas.
3.  Identificar las dependencias externas, como servicios de terceros o APIs externas.
4. Revisar notas de seguridad externas e internas que puedan influir en el análisis de amenazas.
5. Comprender el propósito y funcionamiento de las aplicaciones.
6. Identificar las tecnologías utilizadas, incluyendo frameworks.
7. Determinar los puntos de entrada y salida que pueden ser aprovechados por adversarios (por ejemplo, interfaces web, puertos expuestos, APIs).
8. Crear un diagrama de arquitectura que represente gráficamente todos los elementos anteriores, facilitando la identificación de posibles vectores de ataque.
9. Matriz de riesgos que relacione los activos y amenazas identificadas con su posible impacto.

• Modelado del Sistema

El siguiente paso en el proceso consiste en realizar el modelado del sistema, cuyo objetivo principal es responder a la pregunta: ¿Qué se está construyendo?. Comprender en profundidad la arquitectura del sistema es esencial para determinar qué amenazas son más relevantes y cómo podrían explotarse, considerando siempre la perspectiva de un adversario.

Durante esta fase, el analista de inteligencia de amenazas descompone la arquitectura del sistema en sus módulos o componentes básicos, en función de áreas tradicionales de vulnerabilidades. Esta descomposición permite construir perfiles de seguridad que revelan debilidades en la configuración de diseño, implementación o despliegue, y que pueden ser aprovechadas por un atacante.

Una de las herramientas más comunes para representar este modelado es el uso de diagramas, como:

Diagramas de Flujo de Datos (DFD)

Los DFD permiten representar de forma abstracta y de alto nivel el flujo de información dentro del sistema. Son especialmente útiles para:

1. Identificar puntos de entrada y salida de datos en el sistema.
2. Determinar posibles rutas de amenazas desde el punto de vista del adversario.
3. Visualizar los procesos internos que manipulan los datos.
4. Comprender cómo los datos viajan entre componentes y cómo pueden ser interceptados o manipulados.

Determinación e Identificación de Ciberamenazas

Una vez modelado el sistema, un analista de inteligencia de amenazas determina e identifica las amenazas, vulnerabilidades y vectores de ataque teniendo en cuenta el sistema que se está evaluando. Para lo anterior, existen diferentes metodologías de modelado de amenazas.

Metodologías de modelado de amenazas. Fuente: Modelado de amenazas para la gestión de ciber riesgos, por J. C. Ramírez, 2025.

• STRIDE:

Es una metodología que describe 6 tipos de amenazas:

• PASTA

Es una metodología de modelado de amenazas compuesta por siete etapas. Su propósito es simular ataques contra aplicaciones de TI mediante el análisis estructurado de amenazas, su origen, el impacto potencial y las medidas de mitigación. PASTA (Process for Attack Simulation and Threat Analysis) permite alinear los riesgos técnicos con los objetivos del negocio, facilitando decisiones informadas en materia de seguridad.

1. Definir los objetivos: Establecer los objetivos del análisis de amenazas, alineados con los intereses del negocio.
2. Definir el alcance técnico: Identificar el entorno técnico de la aplicación, incluyendo infraestructura, tecnologías y límites.
3. Descomposición y análisis de la aplicación: Analizar la arquitectura, componentes, flujos de datos y activos para comprender cómo funciona el sistema.
4. Análisis de amenazas: Identificar posibles amenazas con base en vectores de ataque, actores de amenaza y motivaciones.
5. Análisis de vulnerabilidades y debilidades: Evaluar las vulnerabilidades presentes y debilidades en los controles de seguridad existentes, con el fin de comprender los riesgos potenciales.
6. Modelado y simulación de ataques: Simular ataques potenciales para entender las rutas de explotación más probables. Durante esta fase se modelan escenarios de ataque a partir de las amenazas identificadas, con el objetivo de visualizar cómo un actor malicioso podría comprometer activos clave del sistema. Las simulaciones permiten anticipar los vectores de explotación más viables según la superficie de ataque y las vulnerabilidades presentes. Las pruebas y resultados pueden representarse mediante árboles de ataque (attack trees), los cuales estructuran gráficamente las posibles acciones del atacante, desde las más generales hasta las más específicas, permitiendo visualizar las condiciones necesarias para alcanzar un objetivo malicioso determinado.
7. Análisis de riesgo e impacto: Evaluar la probabilidad e impacto de las amenazas para priorizar su mitigación.

• DREAD

Es una metodología utilizada para evaluar, analizar y encontrar la probabilidad de riesgo que califica las amenazas, teniendo en cuenta lo siguiente:

• OCTAVE

Es una metodología utilizada para identificar, evaluar y gestionar los riesgos asociados a los activos de TI. Permite identificar los componentes críticos de seguridad de la información, así como las amenazas que podrían afectar su confidencialidad, integridad y disponibilidad, con el objetivo de generar estrategias que permitan reducir los riesgos sobre dichos activos.

A continuación se comparten los pasos para implementar esta metodología:

1. Identificar los criterios de evaluación de riesgos.
2. Identificar los activos que son cruciales para cumplir el objetivo de la organización.
3. Evaluar las consecuencias potenciales de estas amenazas para la organización.
4. Comprender la tolerancia al riesgo operativo de la organización.
5. Identificar amenazas y vulnerabilidades asociadas a esos activos.
6. Iniciar acciones para mitigar los riesgos.

• VAST

Visual, Agile, and Simple Threat Modeling (VAST) es un enfoque automatizado y visual para la identificación y gestión de amenazas, diseñado para ser ágil y directo. Este proceso se utiliza para analizar y mitigar riesgos tanto en aplicaciones como en operaciones.